Auftragsverarbeitungsvertrag

Der Kunde ist Verantwortlicher und EasyHaus Auftragsverarbeiter für die in Anlage 1 beschriebenen personenbezogenen Daten. EasyHaus verarbeitet sie ausschließlich nach dokumentierten Weisungen des Kunden, bestehend aus den Nutzungsbedingungen, diesem AVV und der Nutzung des Dienstes durch den Kunden. EasyHaus informiert den Kunden, wenn es eine Weisung für datenschutzwidrig hält.

EasyHaus stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind. Mitarbeiter greifen für Support nur auf eine Kundenorganisation zu, wenn deren Inhaber den Supportzugriff aktiviert hat. Der Zugriff ist begrenzt, erfordert einen angegebenen Grund und wird im Prüfprotokoll des Kunden erfasst.

EasyHaus setzt die technischen und organisatorischen Maßnahmen in Anlage 2 um und darf sie aktualisieren, sofern das allgemeine Schutzniveau nicht sinkt.

Der Kunde erteilt eine allgemeine Genehmigung für die Unterauftragsverarbeiter in Anlage 3. EasyHaus kündigt neue oder ausgetauschte Unterauftragsverarbeiter mindestens 30 Tage im Voraus per E-Mail an den Organisationsinhaber an. Der Kunde darf aus berechtigten Datenschutzgründen widersprechen. Können die Parteien den Einwand nicht ausräumen, darf der Kunde den betroffenen Dienst kündigen. EasyHaus verpflichtet jeden Unterauftragsverarbeiter zu diesem AVV entsprechenden Datenschutzpflichten und bleibt für ihn verantwortlich.

• Anfragen betroffener Personen: Der Dienst ermöglicht dem Kunden, Kundendaten zu exportieren, zu berichtigen und zu löschen. EasyHaus leitet direkt eingehende Anfragen an den Kunden weiter und beantwortet sie nicht selbst.
• EasyHaus unterstützt bei Datenschutz-Folgenabschätzungen und Konsultationen mit Behörden, soweit ihm die Informationen vorliegen.

EasyHaus benachrichtigt den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft. Die Mitteilung beschreibt die Art der Verletzung, soweit bekannt die betroffenen Daten und Personen, wahrscheinliche Folgen und ergriffene Maßnahmen. Sie wird aktualisiert, sobald weitere Informationen vorliegen.

Während des Abonnements und für 90 Tage nach seinem Ende kann der Kunde sämtliche Daten exportieren. Nach diesem Zeitraum oder 30 Tage nach Löschung der Organisation durch den Kunden löscht EasyHaus die Daten aus Datenbank und Dateispeicher. Verschlüsselte Sicherungen verfallen im regulären Sicherungszyklus innerhalb von 30 Tagen. EasyHaus bewahrt Daten nur länger auf, soweit gesetzlich vorgeschrieben.

EasyHaus stellt die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlichen Informationen bereit, einschließlich einer Zusammenfassung seiner neuesten Sicherheitsprüfung. Der Kunde darf die Einhaltung mit 30 Tagen Vorankündigung selbst prüfen oder durch einen unabhängigen Prüfer prüfen lassen, höchstens einmal jährlich, sofern nicht eine Verletzung oder eine Behörde etwas anderes verlangt, auf eigene Kosten und unter Vertraulichkeit.

Die Datenbank mit Kundendaten wird in der Europäischen Union gehostet. Unterauftragsverarbeiter aus Anlage 3 mit Sitz oder Datenverarbeitung in den Vereinigten Staaten sind unter dem EU-US-Datenschutzrahmen zertifiziert. Zusätzlich gelten die Standardvertragsklauseln ihrer Datenverarbeitungsbedingungen. EasyHaus wird von der Republik Aserbaidschan aus betrieben; der Zugriff auf Kundendaten aus Aserbaidschan ist durch die Standardvertragsklauseln abgedeckt. EasyHaus übermittelt personenbezogene Daten nur mit solchen Garantien nach Kapitel V DSGVO außerhalb des Europäischen Wirtschaftsraums.

Die Haftung aus diesem AVV richtet sich nach den Nutzungsbedingungen. Bei Widersprüchen hat dieser AVV für die Verarbeitung personenbezogener Daten Vorrang. Er endet, sobald EasyHaus keine personenbezogenen Daten des Kunden mehr verarbeitet.

• Verschlüsselung bei der Übertragung mit TLS und HSTS.
• Verschlüsselung gespeicherter Steueridentifikationsnummern, Ausweisdokumentnummern, Bankkontonummern, Kennnummern wirtschaftlich Berechtigter, Geheimnisse für den zweiten Faktor und Wiederherstellungscodes mit AES-256-GCM; Schlüssel außerhalb der Datenbank mit Schlüsselkennungen für den Wechsel.
• Logische Trennung von Organisationen: Jede Abfrage ist auf eine Organisation beschränkt, durchgesetzt durch eine automatisierte Prüfung und eine Isolationstestsuite.
• Rollenbasierter Zugriff innerhalb einer Organisation (Inhaber, Administrator, Verwalter, Betrachter); sensible Felder werden nur Inhabern und Administratoren vollständig angezeigt.
• Mit argon2id gehashte Passwörter, Mindestlänge und Prüfung auf kompromittierte Passwörter; optionale oder vorgeschriebene Zwei-Faktor-Authentifizierung; Sperre nach wiederholt falschen Codes.
• Zufällige, als Hash gespeicherte Sitzungstoken mit Ablauf bei Inaktivität, absoluter Ablauffrist und Widerruf.
• Ratenbegrenzungen für Anmeldung, Passwortzurücksetzung, E-Mail-Links, Uploads und Kontaktformular.
• Privater Dateispeicher mit kurzlebigen, einmaligen Upload-Links; Positivliste für Dateitypen und Inhaltsprüfungen; Neucodierung von Bildern.
• Prüfprotokoll jeder Änderung mit maskierten personenbezogenen Feldern, das Kunden nicht löschen können; protokollierte Dokumentdownloads.
• Supportzugriff nur mit Zustimmung des Inhabers, mit begrenztem Umfang und Protokollierung.
• Gehärtete Serverprozesse, Prüfung von Abhängigkeiten auf Schwachstellen und Sicherheitsheader einschließlich einer Content Security Policy.
• Datenbankhosting in der Europäischen Union; verschlüsselte Speicherung von Dateien.
• Nächtliche Sicherungen, vor dem Verlassen unseres Servers mit AES-256 verschlüsselt, 30 Tage aufbewahrt, mit wöchentlicher Integritätsprüfung und dokumentiertem Wiederherstellungsverfahren.